AWS グローバル条件キー

AWS は、アクセスコントロールに IAM を使用するすべてのサービスのポリシー条件キーのセットであるグローバル条件キーを定義します。 は、すべてのグローバル条件キー AWS KMS をサポートします。 AWS AWS KMS キーポリシーと IAM ポリシーで使用できます。

例えば、aws:PrincipalArn グローバル条件キーを使用して、 AWS KMS key リクエストのプリンシパルが条件キー値で Amazon リソースネーム (ARN) で表されている場合にのみ、 (KMS キー) へのアクセスを許可できます。で属性ベースのアクセスコントロール (ABAC) をサポートするには AWS KMS、IAM ポリシーで aws:ResourceTag/tag-key グローバル条件キーを使用して、特定のタグを持つ KMS キーへのアクセスを許可できます。

プリンシパルが AWS サービスプリンシパル であるポリシーで サービスが混乱したAWS 代理として使用されるのを防ぐには、 aws:SourceArnまたは aws:SourceAccount グローバル条件キーを使用できます。詳細については、「aws:SourceArn または aws:SourceAccount 条件キーの使用」を参照してください。

利用可能なリクエストのタイプを含む AWS グローバル条件キーの詳細については、IAM AWS ユーザーガイドの「グローバル条件コンテキストキー」を参照してください。IAM ポリシーでグローバル条件キーを使用する例については、IAM ユーザーガイドのリクエストへのアクセスの制御およびタグキーの制御を参照してください。

以下のトピックでは、IP アドレスと VPC エンドポイントに基づく条件キーを使用するための特別なガイダンスを提供します。

AWS KMS アクセス許可を持つポリシーでの IP アドレス条件の使用

を使用して AWS KMS 、統合 AWS サービス 内のデータを保護できます。ただし、 へのアクセスを許可または拒否する同じポリシーステートメントで IP アドレス条件演算子またはaws:SourceIp条件キーを指定する場合は注意してください AWS KMS。例えば、 のポリシーAWS: ソース IP AWS に基づいて へのアクセスを拒否すると、 AWS アクションは指定された IP 範囲からのリクエストに制限されます。

次のシナリオを考えてみます。

1. AWS「: ソース IP AWS に基づく へのアクセスを拒否する」に示されているようなポリシーを IAM アイデンティティにアタッチします。aws:SourceIp 条件キーの値は、ユーザーの会社の IP アドレス範囲に設定します。この IAM アイデンティティには、Amazon EBS、Amazon EC2、 AWS KMSの使用を許可する他のポリシーがアタッチされています。

2. アイデンティティは、暗号化された EBS ボリュームを EC2 インスタンスにアタッチしようとします。このアクションは、関連するすべてのサービスを使用するためのアクセス権限がユーザーに付与されているにもかかわらず、承認エラーが発生して失敗します。

ボリュームの暗号化されたデータキーを復号する AWS KMS へのリクエストは、Amazon EC2 インフラストラクチャに関連付けられている IP アドレスから送信されるため、ステップ 2 は失敗します。成功させるには、リクエストは、元のユーザーの IP アドレスからリクエストが送られてこなければなりません。ステップ 1 のポリシーでは、指定されたもの以外の IP アドレスからのすべてのリクエストが明示的に拒否されるため、Amazon EC2 は EBS ボリュームの暗号化されたデータキーを復号化する権限を拒否されます。

また、リクエストが Amazon VPC エンドポイントから送信される場合、aws:sourceIP 条件キーは無効です。リクエストを AWS KMS VPC エンドポイントなどの VPC エンドポイントに制限するには、aws:sourceVpce または aws:sourceVpc 条件キーを使用します。詳細については、Amazon VPC ユーザーガイドの「VPC エンドポイント - エンドポイントの使用の管理」を参照してください。

AWS KMS アクセス許可を持つポリシーでの VPC エンドポイント条件の使用

AWS KMS は、 を使用する Amazon Virtual Private Cloud (Amazon VPC) エンドポイントをサポートします。 AWS PrivateLinkキーポリシーおよび IAM ポリシーで次のグローバル条件キーを使用して、リクエストが VPC から送信されたとき、または VPC エンドポイントを使用する場合の AWS KMS リソースへのアクセスを制御できます。詳細については、「ポリシーステートメントでの VPC エンドポイントの使用」を参照してください。

• aws:SourceVpc は、指定した VPC からのリクエストにアクセスを制限します。

• aws:SourceVpce は、指定した VPC エンドポイントからのリクエストにアクセスを制限します。

これらの条件キーを使用して KMS キーへのアクセスを制御すると、 が AWS KMS ユーザーに代わって使用する AWS サービスへのアクセスが誤って拒否される可能性があります。

IP アドレス条件キーの例のような状況にならないように注意してください。KMS キーのリクエストを VPC または VPC エンドポイントに制限すると、Amazon S3 や Amazon EBS などの統合サービス AWS KMS からの の呼び出しが失敗する可能性があります。 Amazon S3 ソースリクエストの最初の送信元が VPC 内または VPC エンドポイントであっても、これは発生することがあります。